Modules

Un module est une famille de contrôles qui lit une partie de votre environnement et produit des constats. Cette section décrit, module par module, ce qui est lu, comment, et ce qui ne l'est pas.

Un seul inventaire, plusieurs lectures

Ctadel relève la configuration de vos ressources par l'API de chaque cloud et l'écrit dans un graphe. Les modules travaillent ensuite sur ce graphe, sur le contenu de vos buckets lu en place, ou sur une copie temporaire créée dans votre compte (copie de disque, copie de base). Tous versent leurs constats au même endroit.

L'accès se fait par API, sans agent. L'inventaire et les contrôles de configuration demandent des droits de lecture. Les analyses de contenu demandent en plus des droits d'écriture limités dans votre compte : créer et supprimer un instantané, un volume et une machine de scan éphémère pour lire les disques (modules Hôtes, Vulnérabilités, Secrets, Données), créer et supprimer un instantané et une copie de base pour lire les bases (module Données), et sur EKS créer une entrée d'accès au cluster (module Kubernetes). Ces droits sont séparés dans les gabarits d'onboarding et peuvent être refusés, au prix des analyses correspondantes. Le détail par cloud est dans Droits demandés.

Les modules

Module	Ce qu'il lit	Page de l'application
Configuration cloud	La configuration des ressources relevée par l'API de chaque cloud, évaluée dans le graphe	« CSPM » et « AI-SPM »
Identités	Identités, comptes de service, rôles et politiques ; droits effectifs calculés par cloud	« Identités »
Données	Le contenu des buckets, d'une copie des bases PostgreSQL, des copies de disques et du code des fonctions serverless, par échantillon	« Sécurité des données »
Kubernetes	Charges de travail, RBAC, réseau, images et nœuds des clusters	« KSPM » et « Kubernetes »
Hôtes	Une copie de disque de chaque machine virtuelle, contrôlée hors ligne	« HCR »
Vulnérabilités	Paquets installés sur les disques, images de conteneurs, dépendances des dépôts, rapprochés des avis publiés	« Vulnérabilités »
Secrets	Dépôts Git, buckets, disques et code des fonctions serverless	« Secrets »
Infrastructure as code	Fichiers Terraform, manifestes Kubernetes et Dockerfile des dépôts connectés	« IaC »
Chemins d'attaque	Le graphe entier, à la recherche de combinaisons de constats et de relations	« Combinaisons toxiques »
Inventaire et explorateur	Le graphe, consulté ressource par ressource ou visuellement	« Inventaire » et « Explorateur »
Assistants	Les constats et le graphe de votre instance, en lecture seule	Bouton « Demander au Warden », présent sur chaque page

Les noms de pages sont ceux du menu de gauche de l'application. Les pages de constats sont regroupées sous « Détections », les pages d'inventaire sous « Inventaire ».

Une seule liste de constats

Quel que soit le module d'origine, un constat apparaît dans la page « Détections » avec les mêmes colonnes : « Sévérité », « Type », « Détection », « Ressource », « Statut ». La colonne « Type » distingue le module (CSPM, AI-SPM, Vulnérabilité, Secret, KSPM, HCR, DSPM, IaC).

L'échelle de sévérité est commune à tous les modules : CRITICAL, HIGH, MEDIUM, LOW. Les statuts aussi : « Ouvert », « En investigation », « Résolu », « Corrigé », « Ignoré », « Accepté ». La page Lire un constat explique chaque colonne.

Chaque page de module de cette section se termine par une section « Limites » qui dit ce que le module ne lit pas.

En validation interne

Deux éléments existent dans le produit mais ne sont visibles que pour les comptes de l'équipe Ctadel (adresse en @ctadel.eu) :

• la détection sur journaux d'audit (CDR) et sa page « Runtime » ;
• la page « Conformité » et le filtre de type CDR de la page « Détections ».

Ils sont en validation interne et ne sont pas disponibles pour les clients. Cette documentation ne les décrit pas.